Realizar Filtrado de Tráfico entre Segmentos de Red
Descripción
Realizar filtrado de tráfico entre segmentos de red, donde sea apropiado.
Lista de Verificación de Implementación
Herramientas Recomendadas
Plataforma de firewall de próxima generación con políticas conscientes de aplicaciones, prevención de amenazas, filtrado de URL y SD-WAN
Palo Alto Networks · Dispositivo + suscripción
Firewall empresarial y estructura de seguridad con NGFW, SD-WAN, IPS y servicios de seguridad integrados
Fortinet · Dispositivo + suscripción
Firewall empresarial con visibilidad de aplicaciones, IPS, defensa contra malware y análisis de tráfico cifrado
Cisco · Dispositivo + suscripción
Amenazas y Vulnerabilidades (CIS RAM)
Escenarios de Amenazas
Movimiento Lateral Irrestricto entre Segmentos de Red
ConfidencialidadUn atacante que compromete una estación de trabajo en el segmento de usuarios generales puede acceder directamente a servidores de bases de datos e infraestructura crítica porque no existe filtrado de tráfico entre segmentos de red.
Propagación de Malware en Red Plana
DisponibilidadUna variante de gusano o ransomware se propaga rápidamente desde un endpoint infectado a servidores en todos los segmentos porque el tráfico entre segmentos no se filtra ni restringe.
Acceso No Autorizado a Segmentos Sensibles desde Dispositivo IoT Comprometido
ConfidencialidadUn dispositivo IoT comprometido en la red corporativa obtiene acceso directo a segmentos de PCI o datos sensibles porque ninguna política de filtrado de tráfico entre segmentos restringe las rutas de comunicación.
Vulnerabilidades (Cuando la Salvaguarda está Ausente)
Arquitectura de Red Plana Sin Aplicación de Segmentación
Sin filtrado de tráfico entre segmentos, todas las zonas de red pueden comunicarse libremente, eliminando límites de contención y permitiendo que los compromisos se propaguen por toda la red.
Sin Control de Acceso entre Zonas de Confianza
La ausencia de filtrado entre segmentos significa que las zonas de alta seguridad como procesamiento de pagos o niveles de bases de datos son alcanzables desde zonas de menor confianza como Wi-Fi de invitados o estaciones de trabajo generales.
Requisitos de Evidencia
| Tipo | Elemento de Evidencia | Frecuencia de Recolección |
|---|---|---|
| Técnico | Capturas de pantalla o exportaciones de configuración que muestren los controles de protección habilitados | Capturado trimestralmente |
| Documento | Documentación de procedimientos para medidas de protección | Revisado anualmente |
| Documento | Documento de política vigente (actual, aprobado, comunicado) | Revisado anualmente |